금융업계 ‘보안 불감증’…내부의 적 돌아봐야

회사내 개인정보 ‘취급 룰’ 여전히 부실 매니지먼트 문제 심각…해킹보다 위협적

고객정보업무 취급 외부인력 관리 소홀 힘없는 IT부서…원본 요구 거절도 못해

“강력한 제재 경각심 키워야” 한목소리 금융사별 정보취급 시스템 새로 구축을

최근 금융회사의 연이은 고객정보 유출과 관련해 전문가들은 업계의 ‘보안불감증’을 가장 큰 원인으로 꼽았다. 금융당국은 물론, 금융회사들도 중요성을 인식하지 못하다 보니 고객정보 보호 업무를 마치 과외 업무나 정부 규제 등으로 취급한 것이 사실이다. 하지만 최근 고객정보 유출이 금융회사 존폐의 문제로 취급되는 만큼 고객정보 보호를 보다 강화해야 한다는 목소리가 높다.

▶원인은 금융업계의 ‘보안불감증’=전문가들은 가장 큰 문제점으로 고객정보 보호와 관련한 관리(management)체계가 전혀 없다는 점을 꼽았다. 즉 회사 내에 개인정보 취급과 관련한 제도(rule)가 제대로 정착되지 않았다는 것이다.

이상용 한양대 경영대 교수는 “최근 금융회사 정보 유출 사태의 원인이 외부의 해킹보다는 내부에서 발생하고 있다”며 “원인은 금융회사의 정보 보호에 대한 매니지먼트 쪽 문제”라고 지적했다.

그는 “금융회사 내부적으로 개인정보를 어떻게 취급해야 하는지 룰이 세팅되지 않다 보니 내부인에 의해 쉽게 정보유출이 되는 것”이라며 “기술적인 문제만 보지 말고 금융사 내부적으로 개인정보 취급 툴(tool)을 우선 마련해야 한다”고 덧붙였다.

금융회사들은 많은 정보보호 활동 노력에도 정작 내부 직원이 정보를 남용하였을 때 이를 심각하게 생각하지 않는 경향이 있다. 특히 과거에는 정보 남용 자체를 파악하는 수단조차 부족했으나, 최근에는 개인 정보 취급 과정과 기록이 명확해지고 있다.

금융사들이 고객정보 보호의 중요성을 제대로 알지 못하다 보니 회사 내 IT쪽 인력에 권한이 적고, 고객정보 관련 업무를 취급하는 외부 인력 관리도 소홀하다는 지적도 나왔다.

김인석 고려대 정보보호대학원 교수는 “고객 정보 데이터에 대한 오너십(ownership)이 IT쪽 부서가 아닌 영업 등 현업 부서에 있다 보니 보안상 문제가 있다고 해도 IT 부서가 목소리를 낼 수 없다”며 “외부 업체가 현업 부서와 협의해 고객정보 원본을 달라고 해도 IT 부서는 줄 수밖에 없는 상황”이라고 꼬집었다.

▶엄격한 처벌로 경각심 줘야=고객정보 유출 사태가 재발하지 않으려면 우선 개인정보 관련 정책을 강화해야 한다는 목소리가 높다. 강력한 제재를 통해 경각심을 키워야 한다는 것이다.

박노형 고려대 로스쿨 교수는 “개인정보 보안 문제가 기업의 생존까지 흔들고 있는 만큼 개인정보 관련 규정을 경제협력개발기구(OECD) 수준으로 높여야 한다”며 “특히 위반업체 등에 일벌백계 해 개인정보에 대한 경각심을 갖는 계기로 만들어야 한다”고 강조했다.

이상용 교수도 “현재와 같은 온정적인 처벌이 지속된다면 앞으로도 내부직원에 의한 정보 남용은 쉽게 개선되지 않을 것”이라고 말했다.

내부 직원들의 보안 사고를 막을 수 있는 가장 효율적인 방안은 명확한 처벌 규정이란 것이다. 또 정부의 처벌 규정을 선진국 수준으로 강화해야 한다는 지적도 나온다. 우리나라는 아직 미국과 같은 징벌적 배상을 실행하지 않고 있다. 사과 e-메일 이외 별다른 처벌 없이 지나가는 일이 비일비재하다.

금융감독원은 2012년 개인정보 유출 사건에 대한 제재로 해당 금융회사에 대해 기관주의와 함께 과태료 600만원을 부과하는 솜방망이 처벌에 그친 바 있다.

IT부서의 권한을 키우는 한편 각 금융사 별로 고객정보 취급 관련 시스템을 새로 구축해야 한다는 지적도 제기됐다. 김인석 교수는 “테스트 데이터를 사용할 때 e-메일로 만들어 쓰고 대량 데이터는 변환하며, 리얼(real) 데이터는 내부직원만 다룰 수 있도록 하는 등 각 금융사별로 고객정보 취급 툴을 새로 확립해야 한다”고 말했다.

신소연 기자/